Թողարկվել է nginx 1.31.7 հիմնական ճյուղը, որը շարունակում է նոր գործառույթների մշակումը: Զուգահեռ կայուն ճյուղը՝ nginx 1.30.6-ը, նույնպես թողարկվում է, որը պարունակում է միայն լուրջ սխալների և խոցելիությունների շտկման հետ կապված փոփոխություններ: Այս թարմացումները լուծում են հինգ խոցելիություն.
- CVE-2026-15176 - Օգտագործելիս բուֆերի արտահոսք է տեղի ունենում
«alias» դիրեկտիվներ կոնֆիգուրացիաներում, որոնք փոխում են հարցման URI-ն դիրեկտիվի միջոցով
«վերաշարադրել»՝ ֆայլին հետագա վերահղմամբ։ - CVE-2026-93479 - Բուֆերի արտահոսքը տեղի է ունենում փոփոխականներով տողային արտահայտություններ կատարելիս և դրսևորվում է արմատային գրացուցակի ուղին հաշվարկելիս և http և հոսքային մոդուլներում հարցումները գրանցելիս։
- CVE-2026-95101 — շրջանցելով «client_max_body_size» սահմանափակումը և փոխարինելով երրորդ կողմի տվյալները պրոքսի սերվերի հարցման մեջ՝ HTTP/3-ում սխալ ձևավորված շրջանակներ փոխանցելով, որոնց որոշ բովանդակություններ կարող են մշակվել որպես հարցման մարմին։
- CVE-2026-97629 - TLS սեսիայի կեղծում, որը պայմանավորված է սեսիայի բանալիներից մեկը չսկզբնօրինակված թողնելով ռոտացիայի ընթացքում։
- CVE-2026-97205 - SSI էջերում ասինխրոն մուտքի/ելքի (AIO) հետ համատեղ «ներառյալ վիրտուալ» հրամաններն օգտագործելիս գոյություն ունի «use-after-free» խոցելիություն։
Nginx 1.31.7 տարբերակում խոցելիության հետ կապված չլինող փոփոխություններ.
- MaxMind (MMDB) ձևաչափով տվյալների բազաների աջակցությունը ավելացվել է ngx_http_geoip_module և ngx_stream_geoip_module մոդուլներին։
- Ներդրվել է IP հասցեով ստուգելու հնարավորությունը SSL վկայագրեր, որն օգտագործվում է backend-ում։
- Ներդրվել է կատարվող ֆայլը վերակազմակերպելու և թարմացնելու հնարավորություն՝ կարգավորումներում quic_bpf հրահանգն օգտագործելիս։
- Ngx_http_v2_module մոդուլը իրականացնում է առաջնահերթությունների որոշման սխեմա, որը համապատասխանում է RFC 9218 ստանդարտին։
Njs 1.0.2-ը, որը JavaScript մեկնաբանիչը Nginx HTTP սերվերի մեջ ինտեգրելու մոդուլ է, այժմ հասանելի է: Njs-ը հնարավորություն է տալիս օգտագործել JavaScript սկրիպտներ կոնֆիգուրացիայի ֆայլերում՝ Nginx-ի հնարավորությունները ընդլայնելու համար: Սկրիպտները կարող են օգտագործվել առաջադեմ հարցումների մշակման տրամաբանություն սահմանելու, կոնֆիգուրացիա ստեղծելու, պատասխաններ դինամիկ կերպով ստեղծելու, հարցումներ/պատասխաններ փոփոխելու կամ վեբ հավելվածներում խնդիրները լուծելու համար արագ ստաբներ ստեղծելու համար: Նախագծի կոդը գրված է C լեզվով և տարածվում է BSD լիցենզիայով:
NJS 1.0.2-ը շտկում է հետևյալ խոցելիությունները՝ հիշողության սպառումը սխալ XML տվյալների վերլուծության ժամանակ (CVE-2026-101025) և ստորագրված XML փաստաթղթի վավերացման խախտումը՝ XML ատրիբուտների մանիպուլյացիայի պատճառով (CVE-2026-101019): Ավելացվել են XMLNode.getAttributeNS() և XMLNode.getChildNS() մեթոդները: NJS շարժիչում կոմպիլյացիայի ընթացքում հիշողության սպառումը կրճատվել է:
Source: opennet.ru
